Qué muestra el analizador
Ruta. Cada servidor que reenvía un correo añade una línea Received: arriba, así que la lista se lee de la más reciente a la más antigua. El analizador le da la vuelta (la más antigua primero) y calcula con las marcas de tiempo el retraso entre saltos. Si un mensaje llegó dos horas tarde, normalmente se quedó atascado en un salto, y así descubres en cuál.
Autenticación. Los resultados de SPF, DKIM, DMARC y ARC que registró tu proveedor, con una breve explicación de lo que comprueba cada uno.
Señales de alerta. Un Reply-To en un dominio distinto al de la dirección del remitente, un dominio remitente que no firmó el mensaje, un fallo de DMARC o cabeceras sin ninguna línea Received.
SPF, DKIM y DMARC, explicados en corto
| SPF | El dominio del remitente de sobre oculto (Return-Path) publica la lista de servidores autorizados a enviar en su nombre. Pass significa que el servidor que envió estaba en la lista. No dice nada de la dirección del remitente visible. |
| DKIM | El dominio que envía firma el mensaje con una clave privada, y el receptor lo verifica con la clave pública publicada en el DNS. Pass significa que las partes firmadas no se modificaron por el camino. El dominio que firma es el valor d=. |
| DMARC | Vincula ambos con el dominio del remitente visible: DMARC solo se supera si SPF o DKIM se superaron para un dominio que coincide con la dirección del remitente. Es la comprobación que impide que alguien escriba en nombre de tu banco desde su propio servidor. |
Desde febrero de 2024, Gmail y Yahoo exigen a los remitentes masivos que superen DMARC, así que es raro que el correo de una empresa seria falle. Si un mensaje que te pide iniciar sesión o pagar falla DMARC, es una señal clara de phishing.
Causas habituales de los correos que llegan tarde
Cuando un código de verificación llega tarde, la tabla de saltos suele mostrar el motivo. Un hueco largo en el primer salto significa que la cola del remitente ya iba lenta. Un hueco en el servidor receptor suele indicar greylisting: el servidor rechaza el primer intento y espera un segundo, que los remitentes legítimos lanzan a los pocos minutos. Usa la consulta MX para revisar los servidores de correo del dominio receptor.
Preguntas frecuentes
¿Dónde encuentro las cabeceras sin procesar?
Gmail: abre el correo, menú de tres puntos y Mostrar original. Outlook en la web: menú de tres puntos, Ver y Ver origen del mensaje. Apple Mail: Visualización, Mensaje, Todas las cabeceras. Thunderbird: Ver, Código fuente del mensaje (Ctrl+U). Copia todo lo que hay antes de la primera línea en blanco, o simplemente todo: el analizador se detiene en el cuerpo del mensaje.
¿Se suben las cabeceras a algún sitio?
No. Se analizan con JavaScript en esta página y nunca salen de tu navegador. Las cabeceras pueden contener tu dirección y direcciones IP, así que esto importa.
¿Puedo fiarme de los resultados de SPF, DKIM y DMARC que aparecen?
Son los resultados que tu propio proveedor de correo registró al recibirlo (la cabecera Authentication-Results). El analizador no vuelve a verificar las firmas: lee y explica lo que decidió el servidor receptor. Las cabeceras más abajo pueden estar falsificadas por el remitente, por eso cuentan los resultados de arriba, los que añadió tu proveedor.
¿Por qué el retraso de un salto es negativo?
Los relojes de los servidores no están perfectamente sincronizados. Cada servidor pone su propia hora, así que unos segundos de retraso negativo solo significan que un reloj va adelantado. Los huecos grandes (minutos u horas) suelen indicar greylisting, una cola del filtro antispam o un remitente limitado.